Уязвимость неограниченной загрузки файлов в Oray Pugongying X5 Pro (CVE-2026-116236)

Специалисты по безопасности продолжают фиксировать случаи опасных уязвимостей в сетевом оборудовании малого офиса и SOHO-сегмента. Очередной инцидент затрагивает устройства Oray Pugongying X5 Pro — популярные компактные маршрутизаторы. Проблема получила идентификатор CVE-2026-116236 и оценку 8.6 по шкале CVSS, что соответствует высокому уровню критичности.

Подробности

Уязвимость затрагивает Oray Pugongying X5 Pro версии 7.6.1. Проблема сосредоточена в функции plugin_init файла /tmp/upload_files, относящегося к компоненту PPPoE WAN Setting Handler. Манипулирование аргументом pppd_options позволяет злоумышленнику выполнить неограниченную загрузку файлов (unrestricted upload).

По классификации CWE данная уязвимость относится к классу CWE-434 (Unrestricted Upload of File with Dangerous Type). Ключевая опасность заключается в том, что атакующий может удалённо загрузить на устройство файлы опасных типов и впоследствии использовать их для компрометации маршрутизатора — вплоть до выполнения произвольного кода и полного перехвата контроля над устройством.

Согласно описанию CVE, атака может быть инициирована удалённо. Эксплойт уже раскрыт публично и может быть использован злоумышленниками. Производитель был заблаговременно уведомлён об уязвимости, однако не ответил на обращение, что означает отсутствие подтверждённого патча на момент публикации записи.

Что делать

Поскольку официальная позиция вендора неизвестна, рекомендуется принять следующие меры:

• Проверить, используются ли в инфраструктуре устройства Oray Pugongying X5 Pro версии 7.6.1, и по возможности ограничить доступ к их веб-интерфейсу управления из недоверенных сетей.
• Изолировать устройство в отдельном сегменте сети, ограничить доступ к интерфейсу администратора по IP-адресам и отключить удалённое управление из WAN, если оно не требуется.
• Отслеживать обновления прошивки на официальном сайте производителя и установить патч сразу после его выпуска.
• При отсутствии обновлений рассмотреть замену устройства на модель с поддерживаемым жизненным циклом безопасности.
• Провести проверку журналов устройства на предмет подозрительных загрузок файлов и несанкционированных изменений конфигурации PPPoE.

Уязвимость CVE-2026-116236 в Oray Pugongying X5 Pro представляет серьёзную угрозу для организаций, использующих это оборудование на периметре сети: публично доступный эксплойт и отсутствие реакции вендора существенно повышают риск эксплуатации. Рекомендуется оперативно оценить наличие уязвимых устройств и применить компенсирующие меры защиты до выхода официального исправления.

Источник: CVE Project (cvelistV5)